AI ハッキングによってパスワードスプレーはさらに高速化します。ギャップを埋める方法は次のとおりです

AI ハッキングがパスワードスプレーを発明したわけではありません。より速い“エンジン”を与えただけです。

パスワードスプレー は、この本に載っている攻撃の中でも最も地味な部類の1つです。攻撃者はよくあるパスワードを数個選び、それを大量のアカウントに対して試します。アカウントロックの閾値を下回るようにしておけば、1回の失敗だけではアラートが発動しません。脆弱性の悪用はなし。マルウェアもなし。必要なのは忍耐とログインフォームだけです。

パスワードスプレーは、今日のほとんどのアイデンティティ攻撃の背後にある手法でもあります。私たちは Password spraying: 97% of attacks don't hack, they just log in で、その理由を分解しましたが、その計算は変わっていません。変わったのは、誰が攻撃を実行できるようになったのか、そしてその速さです。

それがAIハッキングの正体です。新しい攻撃タイプではなく、人間の運用者がこれまで持ち得なかった速度と規模で動く、昔からある手法なのです。

AIハッキングがスプレーキャンペーンを実際にどう変えるのか

手作業によるパスワードスプレーキャンペーンには、自然な制約があります。パスワードリストを選び、タイミングを管理し、アカウントがロックアウトされたり防御が作動したりしたときに調整する必要があるからです。AIハッキングは、これらの制約の大部分を取り除きます。

• タイミングの最適化。 これまでのように試行間の安全な間隔を推測するのではなく、AIハッキングツールが組織のロックアウトポリシーをモデル化し、何千ものアカウントに対して同時に、しきい値ぎりぎり手前でリクエストのペースを調整します。
• インフラのローテーション。 攻撃者はプロキシチェーンを自動で立ち上げたり停止したりできるため、同じ送信元からのログイン失敗が十分な回数に達せず、フラグが立ちません。
• 大規模なパーソナライズ。 フィッシングメールをより説得力のあるものにするのと同じAIハッキングのアプローチは、より賢いクレデンシャル（認証情報）リストも構築します。公開されている侵害データやソーシャルプロフィールから、従業員名、表記形式、そして想定されるパスワードパターンを取り出します。

Netwrix の調査では、そのギャップがすでに組織にコストをかけていることが示されています。

Netwrix Research Lab は、2026 Data and Identity Security Report のために、1,889の組織にまたがる2,317人のITおよびセキュリティの専門家を対象に調査を行いました。主要な調査結果は、AIハッキングがアイデンティティ攻撃に対して一般的に行っていることとも整合しています。AIによってアクセスが必要なアイデンティティの数が大幅に増えた組織では、過去12か月の侵害率が43%だったのに対し、AIがアイデンティティの範囲（フットプリント）を実質的に変えていない組織では11%でした。これは4倍の差であり、成熟度の話ではありません。レポートでは、AIに最も強く依存している組織ほど、実はアイデンティティの基本（identity fundamentals）ではより先行していたことが分かりました。それでも侵害されたのは、人間のペースで進む変化を前提に作られたガバナンスでは、展開スピードで作られるアイデンティティやアクセスに追いつけないからです。これは、AIハッキングがパスワードベースの防御に対して使うのと同じスピードです。

また、レポートでは 76% の組織が非人間のアイデンティティに対して十分にガバナンス（統制）または監視を行っておらず、完全な AI セキュリティの準備ができているのはわずか 11% であることも分かりました。 Download the full 2026 Data and Identity Security Report 産業別および地域別のベンチマークを含む、完全な内訳をご覧ください。

検知はAIによるハッキングを遅れて捕捉します。予防は玄関先で止めます。

行動分析と脅威検知は重要で、第一の防衛線をすり抜けてしまった多くのものを捕捉できます。ですが、特にパスワードスプレーリングでは、検知はすでに一歩遅れています。スプレーキャンペーンがアラートを発報する頃には、攻撃者はすでにそのパスワードを試しています。予防とは、弱い、あるいは侵害済みのパスワードがそもそも使える状態にならないようにすることです。

それが Netwrix Password Policy Enforcer のために作られた層です。

Password Policy Enforcer が担う役割

Password Policy Enforcer は、新しいパスワードと既存のパスワードを、設定される前に Have I Been Pwned などの侵害（漏えい）データベースと照合します。そのため、過去の漏えいで既に露出してしまった認証情報は、次週のスプレー攻撃の標的になる前にブロックされます。さらに、辞書・パターン保護を多層化して、よくある単語、置換、攻撃者が最初に試すことが多い予測可能なパターンを検知し、加えてユーザー、グループ、または組織単位ごとにカスタムの複雑性ルールを適用できます。

Active Directory 環境のドメイン コントローラー上で動作するため、ポリシーの強制はパスワードが実際に作成または変更される時点で行われます。事後ではありません。CIS、NIST、HIPAA、PCI DSS 向けの内蔵コンプライアンス テンプレートにより、スプレー攻撃の試みを阻止するのと同じポリシーで監査も満たせます。さらにリアルタイムのフィードバックが、なぜパスワードが拒否されたのかをユーザーに伝えるため、修正は最初の試行で完了し、サポート チケットに頼る必要がありません。

パスワード ポリシーが正面の入口を止めます。Data Classification はその先にあるものを制限します

Password Policy Enforcer は、スプレー攻撃の試みが成功することがないように作られていますが、単一の対策であらゆる経路を塞ぐことはできません。攻撃者がフィッシングメール、サードパーティの侵害、または Password Policy Enforcer がカバーしていない経路から侵入した場合、そのアカウントが到達できる範囲と、そのアカウントがどれだけ露出しているかによって、次に起きることが決まります。

そこで Netwrix Data Classification が役立ちます。ファイル サーバー、SharePoint、Microsoft 365、クラウド リポジトリ全体で機密データを継続的に発見・分類するため、セキュリティ チームはインシデントの後ではなく、発生前に、規制対象かつ高リスクのデータが実際にどこにあるのかを把握できます。さらに 冗長、過去のもの（古い）、些細なデータ も検出してクリーンアップ対象として知らせることで、攻撃者が最初に見つけられる状態で放置された露出データの量を減らします。そこから、その分類情報を下流のアクセス ガバナンスや DLP ツールに引き渡し、すべてに闇雲に適用するのではなく、「本当に機密である」内容の周辺に対して権限と管理をより厳格にするために必要なものを提供します。

Netwrix Password Policy Enforcer と Netwrix Data Classification は、異なる問題を解決します。前者は、盗まれた、または推測されたパスワードが使える状態になることを防ぎます。後者は、たとえアカウントが最終的に侵害されてしまったとしても、アクセス可能な機微データがより少なく、さらにそれが正確にどこにあるのかを把握するための情報がより適切に得られるようにします。両者を組み合わせることで、攻撃の両端を狭めます。攻撃者が使える資格情報を減らし、攻撃者が見つける前に機微データを分類しておくのです。

AIによるハッキングは、攻撃のスピードを上げるものの、防御の難しさを上げるわけではありません。基本は今も同じです。資格情報（credential hygiene）の衛生状態を徹底し、機微データがどこに存在するのかを把握してください。両方を正しく実行すれば、攻撃者の速さはもはや優位性になりません。